(nazwa i adres jednostki sektora finansów publicznych) Prudnik, dnia 10 marca 2008 r. SPRAWOZDANIE Z WYKONANIA PLANU AUDYTU WEWNĘTRZNEGO ZA ROK 2007 Podstawowe informacje a) Informacje o jednostce sektora finansów publicznych 2. 3. *) Wykaz jednostek sektora finansów publicznych, w których audytor wewnętrzny prowadził audyt wewnętrzny w roku sprawozdawczym a) Liczba osób zatrudnionych w jednostce, w której jest zatrudniony audytor wewnętrzny (jednostce zatrudniającej) b) Łączna liczba osób zatrudnionych w pozostałych jednostkach, w których audytor wewnętrzny prowadził audyt wewnętrzny (według stanu na dzień 31 grudnia roku, za który sporządzane jest sprawozdanie) Łączna liczba jednostek podległych jednostce zatrudniającej lub nadzorowanych przez jednostkę zatrudniającą (według stanu na dzień 31 grudnia roku, za który sporządzane jest sprawozdanie) Powiatowe Centrum Pomocy Rodzinie Powiatowy Zarząd Dróg Starostwo Powiatowe a) 74 b) 638 18 b) Informacje o komórce audytu wewnętrznego Nazwa komórki audytu wewnętrznego Samodzielne stanowisko: Audytor Wewnętrzny 2. *) Adres pocztowy/numer telefonu/adres e-mail koordynatora komórki audytu wewnętrznego Liczba osób faktycznie zatrudnionych w komórce audytu wewnętrznego. 3. (wg stanu na dzień 31 grudnia roku, za który sporządzane jest sprawozdanie) Czy koordynator komórki audytu wewnętrznego podlega bezpośrednio kierownikowi jednostki (dyrektoro- 4. *) wi generalnemu)? Czy komórka audytu wewnętrznego posiada zatwierdzony przez kierownika jednostki (dyrektora generalnego) dokument określający jej cele, zadania i upraw- 5. nienia? (np. karta audytu wewnętrznego, regulamin organizacyjny) 6. Czy istnieją pisemne procedury audytu wewnętrznego? 48-200 Prudnik, ul. Kościuszki 76, tel. (077)406-81-80 wew. 211 audyt@powiatprudnicki.pl 1 TAK TAK Nazwa dokumentu: REGULAMIN AUDYTU WEWNĘTRZNEGO w Starostwie Powiatowym oraz powiatowych jednostkach organizacyjnych Procedury audytu wewnętrznego uregulowane zostały w Regulaminie Audytu Wewnętrznego. 7. 8. 9. 10. Czy dokonywana była zewnętrzna ocena pracy komórki audytu wewnętrznego? Czy dokonano udokumentowanej samooceny pracy komórki audytu wewnętrznego? Czy opracowano wieloletni/ strategiczny plan audytu wewnętrznego? Czy prace komórki audytu wewnętrznego są wspomagane przez odpowiednie systemy informatyczne (jakie)? TAK Organ oceniający: Najwyższa Izba Kontroli NIE NIE NIE 1
2. Zakres tematyczny i organizacja zadań audytowych zrealizowanych w roku sprawozdawczym 2. 3. Temat zadania audytowego Organizowanie opieki w rodzinach zastępczych przez Powiatowe Centrum Pomocy Rodzinie w Prudniku Analiza kosztów działalności Powiatowego Zarządu Dróg obecnie oraz w przypadku włączenia go w strukturę organizacyjną Starostwa Powiatowego Bezpieczeństwo danych Starostwie Powiatowym Rodzaj audytu Z - zgodności D - działalności Czy dotyczy środków wymienionych w art. 5 ust. 1 pkt 2 i 3 uofp? Nie Termin przeprowadzenia zadania audytowego I/II kw. Nie - Nie I kw. Planowany Zrealizowany 03.0 002. 08.02 22.02. 19.11 18.12. Obszar ryzyka Rodziny zastępcze Koszty działalności IT systemów Bezpieczeństwo danych Wykorzystane zasoby ludzkie (liczba osobodni) Opinie rzeczoznawców Czy ją uzyskano? Zakres czas 22 dni - - 11 dni - - 22 dni - - 3. Wydane zalecenia w ramach zadań audytowych zrealizowanych w roku sprawozdawczym Lp 2. 3. Temat zadania audytowego Organizowanie opieki w rodzinach zastępczych przez Powiatowe Centrum Pomocy Rodzinie Analiza kosztów działalności Powiatowego Zarządu Dróg obecnie oraz w przypadku włączenia go w strukturę organizacyjną Starostwa Powiatowego Bezpieczeństwo danych Starostwie Powiatowym Rodzaj audytu Z - zgodności D - działalności IT systemów Czy dotyczy środków wymienionych w art. 5 ust. 1 pkt 2 i 3 uofp? Liczba zaleceń zawartych w sprawozdaniu z przeprowadzenia audytu wewnętrznego *** Liczba dodatkowych wyjaśnień i umotywowanych zastrzeżeń złożonych audytorowi **** Uwzględnione w całości Uwzględnione w części Odrzucone Nie 27 27 - - Liczba podjętych dodatkowych czynności wyjaśniających ** 1 (radca prawny) Nie 4 4 - - - Nie 16 16 - - - 2
4. Czynności sprawdzające (należy podać dane dotyczące czynności sprawdzających podjętych przez audytora wewnętrznego w odniesieniu do zadań audytowych zrealizowanych w roku sprawozdawczym oraz w latach poprzedzających rok sprawozdawczy) Rok realizacji zadania audytowego 2007 Temat zadania audytowego Organizowanie opieki w rodzinach zastępczych przez Powiatowe Centrum Pomocy Rodzinie w Prudniku Liczba podjętych czynności sprawdzających Czy dotyczy środków wymienionych w art. 5 ust. 1 pkt 2 i 3 uofp? Uwagi 16 Nie - 5. Ocena efektów zrealizowanych zadań audytowych Temat zadania audytowego Organizowanie opieki w rodzinach zastępczych przez Powiatowe Centrum Pomocy Rodzinie Podstawowe zalecenia *** 1) Uaktualnić Regulamin Organizacyjny Powiatowego Centrum Pomocy Rodzinie. 2) Uaktualnić podstawę prawną Zarządzenie nr 1/05 Kierownika PCPR z dnia 29.06.2005 r. w sprawie ustalenia procedur kontroli finansowej w PCPR, zapoznać pracowników z wprowadzonymi przepisami oraz zobowiązać do ich przestrzegania fakt ten powinni potwierdzić pisemnie. 3) Uaktualnić oraz uzupełnić kartę wzorów podpisów, stanowiącą załącznik do w/w zarządzenia. 4) Dokonać sprostowania w drodze postanowienia powstałych błędów rachunkowych w wydanych decyzjach nr. 5) Z przeprowadzanych szkoleń dla rodzin zastępczych sporządzać dokumenty świadczące o przeszkoleniu. 6) Dokonać zwrotu na rachunek budżetu Powiatu środków niesłusznie wypłaconych. 7) Dokonać wyrównania brakujących kwot pomocy pieniężnej dla rodzin zastępczych, którym pomoc zaniżono. 8) Dokonywać co najmniej raz w roku oceny sytuacji opiekuńczo wychowawczej w stosunku do wszystkich dzieci umieszczonych w rodzinach zastępczych. 9) Decyzje wydawać po otrzymaniu kwestionariusza świadczącego o przeprowadzeniu wywiadu środowiskowego. 10) Kierownik PCPR powinien każdorazowo na kwestionariuszach wywiadu potwierdzać decyzję o przyznaniu pomocy. 11) Informować co najmniej raz w roku właściwy sąd opiekuńczy o sytuacji rodziny naturalnej dziecka umieszczonego w rodzinie zastępczej, w oparciu o przeprowadzony rodzinny wywiad środowiskowy. 12) Przestrzegać zaleceń art. 35 i 36 kodeksu postępowania administracyjnego. 13) Bezwzględnie pamiętać, że warunkiem przyzna- 3 Ocena wykorzystania zaleceń, ich wpływ na funkcjonowanie i efektywność zarządzania jednostką 1) Wykrycie nadużycia finansowego zwróciło uwagę Kierownictwa na brak kontroli w obszarze objętym zadaniem. Audyt przyczynił się do zapobieżenia nieprawidłowego wydatkowania środków oraz wzmocnienia mechanizmów kontroli wewnętrznej w procesie wydatkowania pomocy pieniężnej dla rodzin zastępczych. 2) Audytor wskazał na nieprawidłowości i uchybienia wynikające z nieznajomości przepisów ustawy o pomocy społecznej oraz jej aktów wykonawczych, co niewątpliwie powinno wpłynąć na prawidłowość dalszej realizacji przedmiotowego zadania przez Powiatowe Centrum Pomocy Rodzinie. 3) Działania audytu przyczyniły się również do ulepszenia istniejącego systemu ochrony danych osobowych.
nia pomocy osobie usamodzielnianej jest m.in. złożenie indywidualnego programu usamodzielnienia oraz zobowiązanie się tej osoby do realizacji programu. 14) Kierownik PCPR powinien zatwierdzać indywidualny program usamodzielnienia. 15) Informować starostę właściwego ze względu na planowane miejsce osiedlenia się osoby usamodzielnianej o zamiarze osiedlenia się tej osoby w miejscowości wskazanej w indywidualnym programie usamodzielnienia. 16) Po zakończeniu realizacji indywidualnego programu usamodzielnienia dokonywać oceny końcowej procesu usamodzielnienia. 17) Opracować druk wniosku dla osób usamodzielniających się, zawierający wszystkie formy przysługującej pomocy, w celu ułatwienia jasnego i świadomego wyboru pomocy dokonywanego przez wnioskodawcę. 18) Opracować oraz wdrożyć politykę bezpieczeństwa zawierającą w szczególności elementy wskazane w 4 rozporządzenia MSWiA z dnia 29.04.2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. Nr 100, poz. 1024). 19) Uaktualnić Instrukcję określającą sposób zarządzania systemem informatycznym, służącym do przetwarzania danych osobowych, ze szczególnym uwzględnieniem bezpieczeństwa informacji i Instrukcję postępowania w sytuacji naruszenia ochrony danych osobowych. Obie instrukcje stanowią akty normatywne o charakterze wewnętrznym, więc należy wprowadzić je zarządzeniem kierownika jednostki. 20) Zaprowadzić rejestr zarządzeń wydawanych przez Kierownika PCPR. 21) Przeanalizować zgłoszone w 1999 r. do GIODO zbiory danych do rejestracji oraz porównać wykazane zbiory oraz dane we wnioskach ze zbiorami przetwarzanymi na dzień dzisiejszy. W razie wykrycia zbioru danych, który nie został jeszcze zarejestrowany, niezwłocznie dokonać jego rejestracji. 22) Pisemnie upoważnić każdego z pracowników uprawnionego do obsługi odpowiednich zbiorów danych osobowych, w tym również pracownika ds. kadr. 23) Prowadzić ewidencję osób upoważnionych do przetwarzania danych osobowych zawierającą w szczególności elementy wskazane w art. 39 ustawy o ochronie danych osobowych. 24) Zastosować odrębne identyfikatory i hasła dla użytkowników systemu. Stosować hasła odpowiednie do środków bezpieczeństwa na poziomie wysokim. 25) Podjąć odpowiednie kroki zmierzające do zakupu systemu Firewall służącego do ochrony dostępu 4
2. Analiza kosztów działalności Powiatowego Zarządu Dróg obecnie oraz w przypadku włączenia go w strukturę organizacyjną Starostwa Powiatowego 3. Bezpieczeństwo danych Starostwie Powiatowym do sieci komputerowej. 26) Ewidencję na koncie pozabilansowym 998 prowadzić zgodnie z rozporządzeniem Ministra Finansów z dnia 28.07.2006 r. w sprawie szczególnych zasad rachunkowości oraz planów kont dla budżetu państwa, budżetów jednostek samorządu terytorialnego oraz niektórych jednostek sektora finansów publicznych (Dz. U. Nr 142, poz. 1020). 27) Wzmocnić system kontroli wewnętrznej w obszarze działalności jednostki objętym zadaniem. 1) Uaktualnić Regulamin Organizacyjny Powiatowego Zarządu Dróg, projekt Regulaminu wraz z projektem uchwały przedstawić Zarządowi Powiatu, celem uchwalenia. 2) Uaktualnić zakresy czynności pracowników PZD. 3) Ustalić w drodze zarządzenia miesięczne limity finansowe na pokrycie rozmów służbowych i opłat stałych z telefonów komórkowych. 4) Podjąć stosowne działania zmierzające do powierzenia, osobie pełniącej obecnie funkcję kierowniczą, stanowiska odpowiedniego do posiadanych kwalifikacji. 1) Rozważyć możliwość powierzenia funkcji administratora bezpieczeństwa informacji odpowiedniej osobie, w celu uniknięcia konfliktu interesów. 2) Jasno określić, kto jest odpowiedzialny za zgłoszenie nowego zbioru danych osobowych oraz zmian aktualizujących zarejestrowane zbiory danych do Generalnego Inspektora Ochrony Danych Osobowych. 3) Rozważyć możliwość przejęcia obowiązku prowadzenia Rejestru zbiorów danych osobowych przez ABI od Naczelnika Wydziału Spraw Obywatelskich i Zarządzania Kryzysowego. 4) Określić, kto powinien prowadzić Wykaz budynków, pomieszczeń lub części pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe. 5) Wyjaśnić oraz doprowadzić do zgodności Rejestr zbiorów danych osobowych z Wykazem budynków, pomieszczeń lub części pomieszczeń tworzących obszar, w którym przetwarzane są dane osobowe. Oba wykazy porównać ze zbiorami zarejestrowanymi przez GIODO umieszczonymi na stronie internetowej GIODO. Uzupełnić Wykaz zbiorów danych osobowych przetwarzanych w systemie informatycznym. 6) W Ewidencji osób upoważnionych do przetwarzania danych osobowych w systemach uzupełnić dane w kolumnie Identyfikator. 7) Dostosować wzór Ewidencji osób upoważnionych do przetwarzania danych osobowych znajdującej się w Instrukcji w sprawie ochrony danych osobowych do wymagań ustawowych. 8) Jasno określić, kto jest odpowiedzialny za szkolenie osób upoważnionych do przetwarzania da- Audytor rekomendował wykonanie niniejszych zaleceń w przypadku dalszego funkcjonowania Powiatowego Zarządu Dróg jako jednostki budżetowej. W dniu 27.04. decyzją Rady Powiatu zlikwidowany został Powiatowy Zarząd Dróg, natomiast zadania zarządcy dróg przejęło Starostwo Powiatowe. W związku z powyższym zalecenia nie podlegały realizacji. W wyniku audytu: 1) wprowadzono jasny podział kompetencji, odpowiedzialności i uprawnień w stosunku do służb oraz innych pracowników w obszarze objętym zadaniem, 2) wzmocniono system bezpieczeństwa danych w Starostwie Powiatowym. Powierzenie odpowiedniej osobie funkcji Administratora Bezpieczeństwa Informacji przyczyni się do uniknięcia potencjalnego lub rzeczywistego konfliktu interesów. Zmiana na stanowisku administratora bezpieczeństwa informacji powinna pozytywnie wpłynąć na prawidłowość nadzoru nad przestrzeganiem stosowania środków technicznych i organizacyjnych zapewniających ochronę przetwarzanych danych osobowych w sposób odpowiedni do zagrożeń oraz kategorii danych objętych ochroną. 5
nych osobowych przed dopuszczeniem ich do pracy z tymi danymi. 9) Wprowadzić zasady dotyczące użytkowania oraz przechowywania komputerów przenośnych. 10) Uszczegółowić stosowane środki i metody uwierzytelniania, stopień złożoności haseł, częstotliwość zmiany haseł. 11) Wyjaśnić, kto powinien odpowiadać za administrowanie kontami użytkowników (rejestracja, wyrejestrowanie) i zastosować to w praktyce. Aktualnie instrukcja nakłada ten obowiązek na Administratora Bezpieczeństwa Informacji, w zakresie czynności zadanie to przypisane ma Administrator Systemu Informatycznego, a w rzeczywistości wykonują to inne osoby. 12) Określić metody oraz częstotliwość tworzenia kopii zapasowych danych oraz systemów (o ile nie jest to zabronione przez autora programu), określić dla jakich danych tworzone będą kopie zapasowe, kto jest odpowiedzialny za ich tworzenie, czas przechowywania oraz procedury likwidacji. Wprowadzić w tej części obowiązek prowadzenia Dziennika ewidencji kopii bezpieczeństwa (który instrukcja wprowadziła już w innej części). 13) Zaprowadzić aktualny wykaz sprzętu komputerowego oraz oprogramowania. 14) Rozważyć możliwość wymiany sprzętu komputerowego w Wydziale Infrastruktury Powiatu na sprzęt nowszej generacji. 15) Wdrożyć programy antywirusowe w Wydziale Geodezji (...). 16) Jeżeli umowa zlecenie na obsługę informatyczną zostanie przedłużona, Administrator Danych powinien upoważnić Zleceniobiorcę do przetwarzania danych osobowych. 6. Niezrealizowane zadania audytowe Lp. Temat zadania audytowego Udzielanie zamówień publicznych przez Powiatowy Zarząd Dróg Czy dotyczy środków wymienionych w art. 5 ust. 1 pkt 2 i 3 ustawy? Nie Przyczyna niezrealizowania zadania Na wniosek Starosty Prudnickiego, audyt w Powiatowym Zarządzie Dróg przeprowadzony został w innym temacie, (na dany okres pilniejszym) tj. Analiza kosztów działalności Powiatowego Zarządu Dróg obecnie oraz w przypadku włączenia go w strukturę organizacyjną Starostwa Powiatowego. 7. Organizacja pracy komórki audytu wewnętrznego Zasoby ludzkie Zadania (liczba osobodni) Uwagi plan wykonanie Przeprowadzanie zadań audytowych 70 55-2. Opracowanie technik przeprowadzania 15 14 - zadania audytowego 3. Przeprowadzanie czynności sprawdzających - 3 W związku z dużą ilość nieprawidłowości wykrytych w trakcie realizacji zadania w PCPR prze- 6
prowadzono czynności sprawdzające 4. Współpraca z innymi służbami kontrolnymi 3 3-5. Czynności organizacyjne, w tym planowanie 20 10 - i sprawozdawczość 6. Szkolenia i rozwój zawodowy 5 3-7. Urlopy/czas dostępny 100 26 100 26 Urlop macierzyński Urlop wypoczynkowy 8. Inne działania, w tym rezerwa czasowa 10 35 Zwolnienie chorobowe 8. Zadania dodatkowe nie ujęte w planie audytu Lp. Temat zadania Analiza kosztów działalności Powiatowego Zarządu Dróg obecnie oraz w przypadku włączenia go w strukturę organizacyjną Starostwa Powiatowego Rodzaj audytu (jak w tab. 2) D - działalności Czy dotyczy środków wymienionych w art. 5 ust. 1 pkt 2 i 3 ustawy? Wykorzystane zasoby (liczba osobodni) Uwagi Nie 11-9. Inne uwagi (w tym w szczególności: informacja o przypadkach niepodjęcia przez kierownika jednostki, w terminie dwóch miesięcy od dnia otrzymania sprawozdania z przeprowadzonego audytu wewnętrznego, działań mających na celu usunięcie uchybień zgodnie z art. 56 ust. 3 ustawy; inne ewentualne zauważone trudności lub wnioski zmierzające do usprawnienia pracy audytora wewnętrznego) brak 10.03.2008 r. (data) (podpis i pieczątka audytora wewnętrznego) * ) W przypadku jednostek podsektora samorządowego wypełnienie nie jest obowiązkowe. ** ) Niepotrzebne skreślić. W przypadku wersji elektronicznej sprawozdania, przy odpowiedzi tak zaznaczyć pole, przy odpowiedzi nie pozostawić pole bez zaznaczenia. *** ) Dotyczy zaleceń, o których mowa w 21 ust. 2 pkt 12 rozporządzenia Ministra Finansów z dnia 24 czerwca 2006 r. w sprawie szczegółowego sposobu i trybu przeprowadzania audytu wewnętrznego (Dz. U. Nr 112, poz. 765). **** ) Dotyczy dodatkowych wyjaśnień i umotywowanych zastrzeżeń, o których mowa w 22 ust. 3 rozporządzenia Ministra Finansów z dnia 24 czerwca 2006 r. w sprawie szczegółowego sposobu i trybu przeprowadzania audytu wewnętrznego (Dz. U. Nr 112, poz. 765). 7